Il registro delle segnalazioni: cosa deve contenere.

Chi cerca «cosa deve contenere il registro delle segnalazioni» di solito sta facendo una di due cose: sta scrivendo la procedura, o si sta preparando a una verifica. In entrambi i casi la prima informazione utile è quella che nessuno dà: il D.Lgs. 24/2023 non prevede un «registro delle segnalazioni» con questo nome, non ne elenca i campi e non ne impone il formato. Il che non lo rende facoltativo.

Il registro non è previsto per nome. Perché serve comunque

Nel decreto non c’è un articolo intitolato al registro. Ci sono però quattro obblighi che, senza uno strumento di questo tipo, non sono dimostrabili.

ANAC lo dice in modo indiretto ma chiaro. Nelle Linee guida del 2023, per gli enti che non usano una piattaforma informatica, l’Autorità descrive la procedura della doppia busta e precisa che la segnalazione «è poi oggetto di protocollazione riservata, anche mediante autonomo registro, da parte del gestore». E descrivendo la propria piattaforma osserva che questa «funge, di fatto, da registro particolare e, pertanto, deve garantire l’integrità e l’immodificabilità della segnalazione».

Sono due modi di dire la stessa cosa: lo strumento può essere cartaceo, un protocollo riservato o un software, ma la funzione è obbligatoria. E l’attributo che ANAC associa al registro non è la completezza: è l’immodificabilità. Un registro che si può riscrivere a posteriori non prova nulla.

I campi minimi

Questi campi non sono un elenco di legge: sono la traduzione operativa degli obblighi della tabella sopra. Se ne manca uno, c’è un obbligo che non si riesce a documentare.

Un’osservazione sul campo «esito». Le Linee Guida ANAC n. 1/2025 elencano, fra gli esiti possibili dell’istruttoria, l’archiviazione, la revisione di procedure o processi interni, la trasmissione degli atti all’ufficio procedimenti disciplinari e la trasmissione all’autorità giudiziaria, e ribadiscono che la decisione spetta al gestore e non può essere subordinata al previo esame dell’organo di indirizzo. Un registro in cui la colonna «esito» contiene sistematicamente «in attesa di determinazione della direzione» documenta, senza volerlo, una procedura non conforme.

Che cosa non deve contenere in chiaro

È la parte in cui i registri fatti in casa sbagliano più spesso, di solito con le migliori intenzioni: si mette tutto nello stesso foglio perché «così è più comodo».

• L’identità del segnalante, e ogni informazione da cui possa essere dedotta. L’art. 12, c. 2 vieta di rivelarla senza consenso espresso, anche all’interno dell’organizzazione, salvo che a soggetti autorizzati. Va tenuta in un archivio separato, accessibile al solo gestore e al sostituto, e collegata al registro tramite l’identificativo. È la stessa logica del «custode dell’identità» che ANAC applica al proprio canale esterno, dove i dati identificativi sono segregati in una sezione della piattaforma inaccessibile perfino all’ufficio che istruisce.
• L’identità della persona coinvolta e di chiunque sia menzionato. L’art. 4, c. 1 le protegge esattamente come quella del segnalante: sono quattro soggetti distinti, non uno.
• I dati manifestamente non utili al trattamento di quella specifica segnalazione. L’art. 13, c. 2 è perentorio: non vanno raccolti e, se raccolti accidentalmente, vanno cancellati immediatamente.
• Il testo integrale della segnalazione. Resta nel fascicolo, non nel registro. Il registro traccia la gestione; il fascicolo contiene il merito.

Conservazione e criterio di cancellazione

L’art. 14, c. 1 fissa il limite: le segnalazioni e la relativa documentazione sono conservate «per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni» dalla data della comunicazione dell’esito finale.

Tre conseguenze pratiche che spesso si perdono.

1. Cinque anni sono un tetto, non una durata. La formula «per il tempo necessario» viene prima: se la finalità si esaurisce dopo otto mesi, la conservazione va interrotta dopo otto mesi. Conservare per default cinque anni tutto quello che arriva è una scelta che va motivata, non un adempimento.
2. Il termine decorre dalla comunicazione dell’esito finale, non dalla ricezione. Il registro deve quindi tracciare quella data, altrimenti il conteggio non parte.
3. La cancellazione deve essere effettiva e provabile. Vale per copie, backup e archivi: cancellare dalla vista principale e lasciare il resto non soddisfa l’obbligo e, soprattutto, non è dimostrabile. È il motivo per cui un archivio di posta elettronica è uno strumento debole per questa funzione.

Un limite dichiarato: il decreto non stabilisce come documentare l’avvenuta cancellazione, e né ANAC né il Garante hanno fissato un formato. La prassi non è consolidata. Annotare nel registro data e modalità della cancellazione, con l’indicazione degli archivi interessati, è la soluzione più difendibile fra quelle disponibili, ma è una scelta di prudenza, non un obbligo di legge.

Perché il registro conta anche quando è vuoto

È l’argomento che convince le organizzazioni che non hanno mai ricevuto una segnalazione e che, per questo, considerano il registro un adempimento vuoto.

Un registro che esiste, ha una struttura, viene aperto periodicamente e non contiene righe dimostra una cosa precisa: il presidio c’è ed è operativo. Dice che qualcuno ha il compito, che lo strumento è pronto, che se arrivasse qualcosa verrebbe tracciato. In una verifica è un elemento a favore.

L’assenza del registro produce il risultato opposto, e in modo asimmetrico: rende indimostrabile qualunque cosa, anche una gestione impeccabile. Un’organizzazione che ha ricevuto tre segnalazioni, le ha istruite bene, ha risposto nei termini e non ha annotato nulla si trova, davanti a una contestazione, esattamente nella stessa posizione di chi non ha fatto niente. La buona gestione non provata, sul piano probatorio, vale quanto la gestione mancata.

Vale la pena aggiungere una precisazione, perché la logica ha un limite: un registro vuoto non dimostra che l’organizzazione è sana. Può voler dire che non succede nulla, oppure che il canale non è conosciuto o non è ritenuto affidabile. Il registro prova il presidio, non il clima. Sono due cose diverse e conviene non confonderle nemmeno internamente.

Un registro solo per due obblighi

Le organizzazioni che devono coprire sia il D.Lgs. 24/2023 sia l’obbligo di prevenzione delle violenze e molestie introdotto nell’art. 15 del D.Lgs. 81/2008 si trovano davanti alla tentazione di tenere due registri. È una cattiva idea: duplica il lavoro e moltiplica i punti in cui gli stessi dati sono esposti.

Gli obblighi restano giuridicamente distinti, ma le differenze operative sono tre e si gestiscono con tre colonne.

La colonna «regime» con tre valori — 24/2023, z-bis, entrambi — risolve il problema. Il valore «entrambi» serve più spesso di quanto sembri: una molestia che integra anche una violazione rilevante ai fini del Modello 231 ricade in tutti e due i perimetri, e in quel caso i termini più stringenti sono quelli del decreto whistleblowing.

Il fac-simile, e il modello da scaricare

Questa è la struttura minima, riproducibile in un foglio di calcolo o in qualunque strumento che garantisca tracciabilità delle modifiche.

Le righe sono esempi di compilazione, non casi reali. Da notare la terza: il termine di conservazione è più breve perché il limite dei cinque anni dell’art. 14 riguarda le segnalazioni whistleblowing; per una segnalazione che ricade solo nell’ambito della sicurezza sul lavoro il periodo va determinato in base alla finalità concreta e al principio di limitazione della conservazione del GDPR. Non esiste, su questo punto, un termine fissato dalla norma, e chi ne indica uno preciso lo sta scegliendo.

Se usi una piattaforma informatica, il registro non va tenuto a parte: verifica che il sistema produca già queste evidenze e che siano esportabili. Nelle parole di ANAC la piattaforma «funge, di fatto, da registro particolare», a condizione che garantisca integrità e immodificabilità. Se non riesci a esportare la sequenza delle date e delle prese in carico, quel requisito non è soddisfatto, per quanto l’interfaccia sia curata.

Questo articolo ha scopo informativo e non costituisce parere legale. Riferimenti: D.Lgs. 24/2023, artt. 4, 5, 12, 13 e 14; Linee guida ANAC di cui alle delibere n. 311 del 12 luglio 2023 e n. 478 del 26 novembre 2025; artt. 5 e 30 del Regolamento (UE) 2016/679; D.Lgs. 81/2008 art. 15. Limiti dichiarati: il decreto non prevede un registro delle segnalazioni con questo nome, non ne definisce i campi e non stabilisce come documentare l’avvenuta cancellazione; i campi proposti in questa guida derivano dagli obblighi citati e non da un elenco normativo. Per la valutazione di un assetto concreto rivolgiti a un legale.